FBI resgata parte do valor pago no ataque ao oleoduto Colonial Pipeline - Entenda o Modus Operandi do Ransomware REvil.

 

Apreensão de mais da metade dos cortes de pagamento da empresa contra a reputação da criptografia como um meio financeiro indetectável para hackers.

Relembrando o caso:

A reportagem é do site terra e na manchete eles diziam: 

"O governo dos Estados Unidos declarou estado de emergência em 17 estados por causa de um ataque cibernético que afetou a principal empresa de distribuição de combustíveis do país, a Colonial Pipeline. Os oleodutos da empresa, que estão paralisados devido ao ataque ransomware, transportam mais de 2,5 milhões de barris de óleo por dia, o que corresponde a 45% do abastecimento de diesel, gasolina e querosene da costa leste dos Estados Unidos". 

Fonte:  Site Terra

É provável que a Colonial Pipeline não implementou políticas eficazes de Desastre Recovery e por este motivo ela ficou refém do grupo criminoso tendo que pagar a quantia aproximada de 4,4 milhões em criptomoedas para os hackres que mantinham seus sistemas de computador, contudo, o Federal Bureau of Ivestigation (FBI), seguiu o dinheiro digital. 

Com um total de 19 dias de investigações, houve uma transferência em 27 de maio deste ano de quase 64 bitcoins sob uma carteira que estava monitorada pelo FBI, tal oportunidade possibilitou um mandado e as investigações puderam avançar, que por final foi possível recuperar 2,3 milhões do resgate pago inicialmente. 

A investigação demonstra a capacidade técnica dos investigadores em interromper a infraestrutura financeira desta grande rede criminosa que possibilita angariar centenas de milhões de dólares das vítimas todos os anos. 

"Você não pode se esconder atrás da criptomoeda", disse Elvies Chan, agente especial assistente encarregado da filial cibernética do escritório de Campo do FBI em São Francisco. Neste mesmo assunto, no caso JBS, ao Grupo Ransomware REvil, foi pago a quantia de 11 milhões após fechamento das fábricas que processam cerca de um quinto do fornecimento de carne do país. Este mesmo grupo assumiu a autoria de mais uma nova investida, a vítima agora é Grupo Fleury.

MODUS OPERANDI DO RANSOMWARE REVIL

Entender melhor o Ransomware REvil. Segundo os pesquisadores de uma empresa de inteligência Flashpoint, eles afirmaram: "que os agentes de ameaças por trás do Ransomware DarkSide (Objeto de ataque do Oleoduto da Colonial) são de origem russa e de ex-afiliados do grupo REvil RaaS [ransomware-as-a-service]". Por este motivo veremos neste artigo, o modus operandi do REvil em sua recente investida no Grupo Fleury. 

Figura 1 - Passo a Passo da Intrusão Grupo Fleury

Nesta imagem (obtida através de redes sociais), é possível analisar que: 

1 - Houve uma campanha de spam com um arquivo de vírus enviado a funcionários de seu domínio;

2- Uma vez que o usuário clicou no arquivo, nossa carga de vírus foi instalada no computador;

3 - Usando ferramentas especiais o computador foi escaneado e todos os dados de autorização do usuário;

4 - Esses dados de autorização foram usados ​​para acessar a rede UHMC remotamente;

5 - Em seguida varremos sua rede e encontramos alguma vulnerabilidade no server RCE, possivelmente: CVE-2021-21985, CVE-2021-21972;

6 - Em seguida, usamos ferramentas de segurança especiais para despejar todas as senhas possíveis do servidor;

7 - Usamos essas senhas para obter acesso a outros elementos da rede até acessarmos seu AD;

8 - Keyloggers especialmente projetados foram instalados nas máquinas do time de TI, o que nos ajudou a ter acesso a todo o infraestrutura de TI;

9 Modificamos sua configuração de antivírus para que não detecte a nossa presença na sua infraestrutura de TI;

10- Após obter todos os dados de acesso do TI possíveis, também encontramos a forma de nos conectarmos com as demais filiais da empresa;

11- Com todo o controle da infraestrutura de TI, utilizamos ferramentas especialmente concebidas para recolher todos os dados valiosos;

12- Após a conclusão da busca de dados, lançamos nosso software de bloqueio em alguns dos seus sistemas de TI, não colocamos muita pressão sobre isso, apenas queríamos que você soubesse que seus dados vazaram.

Figura 2 - Indicadores de Comprometimento (Grupo Fleury).

Com estes indicadores de comprometimento, é possível entender como foi o modus operandi, é possível também interpretá-las como lições aprendidas e criar contramedidas. 

RECUPERAÇÃO DA CRIPTOMOEDA

Muito embora o anúncio de recuperação do resgate tenha sido notável pelo valor recuperado em consonância ao impacto sofrido pela empresa do oleoduto, as forças policias do EUA estão estabelecendo um histórico de rastreamento das criptomoeda e às vezes, a recuperação do valor pago aos criminosos.

Manchete: 

"Hackers movem pagamentos de resgate para escapar da aplicação da lei, mas o Departamento de Justiça foi capaz de rastrear e apreender criptomoedas". Observe a figura abaixo e entenda a modo comum de atuação destes de ataques.

Figura 3 - Seguindo a Criptomoeda

A reportagem de 2020 do ano passado, divulgada no site Olhar Digital relata que a justiça dos EUA conseguiu recuperar 1 bilhão em criptomoeda, esta recuperação está associada ao mercado negro online Silk Road e em janeiro deste ano, mais um aporte de $454.000 em criptomoeda de um grupo de ransomware conhecido como NetWalker. 

Há também uma apreensão datada de agosto de 2020, na ocasião os fundos estavam vinculados à AL Qaeda e às Brigadas Izz ad-Din-Qassam, o braço armado do grupo militante palestino Hamas. Houve uma contribuição de um agente do Internal Revanue Service que rastreou as transações destinadas a financiar estes grupos que atuavam na lavagem do dinheiro, precisamente, turcos, que tinham clientes adicionais baseados nos EUA ou atuavam usando carteiras digitais na bolsa de valores.  

As criptomoedas são mantidas em contas digitais chamadas carteiras, que armazenam endereços de localizações virtuais de fundos e as chaves privadas, ou senhas, para acessá-los. Enquanto as moedas fiduciárias são transferidas de forma privada usando números de roteamento de bancos e números de contas individuais, os proprietários movimentam estes fundos entre endereços registrado usando um blockchains. 

Estes proprietários possuem uma certa privacidade pessoal e liberdade regulatória e fiscal para movimentação financeira. Ademais, é notório que os blockchains são visíveis ao público, permitindo que os investigadores policiais e especialistas externos vejam os fundos se movendo entre endereços e por meio destas trocas, os usuários podem comprar ou vender ações e até sacar. 

Isto posto, as autoridades dos EUA já possuem um mapa contendo milhões de endereços de bicoin associados a atores ilícitos em todo o mundo, segundo David Carlisle, diretor de política e assuntos regulatórios da empresa de análise de blockchains Elliptic.

Observou-se que após o pagamento do resgate, os hackers criminosos costumam distribuir a criptomoeda para centena de outras contas. Estas transferências podem incluir a participação nos lucros que algum dos integrantes da associação criminosa desenvolvedor de alguma ferramenta, disse Carlisle.

No caso da Colonial Pipeline, ela fez o pagamento no dia 8 de maio deste ano, no dia seguinte os hackers movimentaram por pelo menos mais seis endereços e no dia 13 de maio a DarkSide anunciou aos seus afiliados que os seus servidores e outras infraestruturas foram apreendidos e no dia 27 do mesmo mês, uma soma de 63,7 bitcoins foram rastreados pelo FBI que confiscou essa parte dos fundos.

O FBI disse em seu pedido de mandado (sem explicar como), que seus investigadores possuíam a chave privada para aquele endereço. Afirmou o porta-voz. Já os outros fundos restantes da Colonial que não foi recuperado pelo FBI foram consolidados com outra criptografia vinculada a pagamentos de resgate em uma carteira que agora contém cerca de 108 bitcoins, disse Pamela Clegg, diretora de investigações financeiras e educação da empresa de análise de blockchain Cipher Trace.

Destarte, os funcionários do FBI disseram que esta mesma técnica pode ser utilizada para novas investidas contra estes tipos de modus operandi. 

"O exterior não é um problema para essa técnica", disse Chan, do escritório de campo do FBI em São Francisco.

Por fim, nota-se que negócio de ransomware evoluiu para uma teia altamente compartimentada, com a mão de obra dividida entre vários atores, veja:

 

a) Fornecedor do software que bloqueia os dados criptografando-os; 

b) Negociadores de resgate;

c) Hackers que invadem redes direcionadas; 

d) Hackers habilitados a passar despercebidos por esses sistemas e vazar dados confidenciais; e até mesmo, 

e)  Interlocutores que intermediam centros na Índia empregados para ameaçar pessoas cujos dados foram roubados para fazer pressão por pagamentos de extorsão. 

Desta forma podemos contextualizar os seguintes desafios para área de segurança da informação: 

Seguindo o mesmo preceito, o de segurança da informação, temos também as melhores práticas: 

Fonte:

https://resh.com.br/blog/faq-lateral-movement-ataque-lateral/

https://www.bleepingcomputer.com/news/security/attackers-are-scanning-for-vulnerable-vmware-servers-patch-now/

https://www.maxprotection.com.br/post/boletim-de-seguran%C3%A7a-nova-campanha-de-ataques-de-ransomware

https://www.terra.com.br/noticias/tecnologia/inovacao/videos/eua-declaram-estado-de-emergencia-apos-ataque-hacker,9143513.html

https://www.wsj.com/articles/cyber-daily-how-the-fbi-got-colonial-pipelines-ransom-money-back-11623416822

Prints de WhatsApp Web não serão mais aceitos como Prova em Tribunais, será?

Está chovendo artigos na internet falando sobre este tema, em grupos do Whatsapp e até quem é expert da área está confuso. 

É necessário entender um pouco o caso concreto e ler as entrelinhas para sair do escuro. Esta é a intensão deste artigo, sob a ótica técnica e um pouco jurídica. 

O primeiro ponto a ser considerado,  a denúncia ao Ministério Público teve início de forma anônima e os prints da tela estavam referenciando-se sobre as conversas de um grupo do whatsapp. Neste cenário seria possível fazer uma busca e apreensão de todos aparelhos celulares ou parte suficiente até que alcance a verdade dos integrantes deste grupo. É possível ainda, estabelecer um linha do tempo de todas mensagens apagadas, que neste caso, seria apagada apenas no aparelho de quem apagou e não no próprio grupo do whatsapp.

Figura 1 - Processo em questão - Grupo do Whatsapp.

 O STJ não decidiu algo da forma que está sendo discutido nesta "chuva de artigos - Prints de WhatsApp Web não serão mais aceitos como Prova em Tribunais". 

É fato, há um entendimento pontual da forma como a essas telas foram obtidas de que não foi possível determinar a veracidade do contexto das mensagens, na ocasião consolidou o entendimento de que não havia possibilidade de recuperação das mensagens apagadas, segundo a decisão da RHC citada logo abaixo. 

A RHC 4011613-76.2018.8.24.0000 SC 2018/0153349-8 que gerou esta polêmica não é uma materialização objetiva, assim sendo, o tribunal reconhecendo já ter formado um entendimento majoritário sobre determinada questão jurídica, tem o dever de formalizar esse entendimento por meio de um enunciado, dando notícia de forma objetiva de qual é a jurisprudência presente. É fato que este Recurso de Habeas Corpus tem um peso jurídico e pode ser utilizado como fundamento de outro julgamento posteriormente proferido, contudo, não tem o poder de súmula.

Nota-se também que a lei é dinâmica e que esta decisão não reflete todos os casos de forma irrestrita, assim dizia o processualista Daniel Amorim Assumpção Neves: "O conjunto de decisões que refletem a interpretação majoritária de um tribunal e sedimentam, desse modo, um entendimento repetidamente utilizado, pode ser considerado uma ciência da lei, uma jurisprudência". Desta forma, conclui-se que a formação de uma corrente majoritária pode conduzir o entendimento para outros tribunais e neste caso discutido, a decisão não tem o poder de uma súmula.

Isto é comum no meio jurídico, a deturpação dos fatos apoiando o lado A ou B e que muitas vezes o próprio perito e as partes envolvidas conduzem o entendimento para outra finalidade. A priori, se você estiver como auxiliar técnico ou perito nomeado, o alicerce de qualquer base jurídica de cunho forense é a construção de argumentos técnica/cientifico em prol da verdade, que dentro das quesitações, caso seja possível, atesta-se para saber se a prova ou evidência não foi alterada.

Neste caso em tela, os prints foram invalidados por esta argumentação, de que as conversas trocadas lá não poderia ser recuperadas e isto poderia distorcer o sentido da "verdade" que ali, eles buscavam. 

Por Thiago Alvarenga

Profissional com 21 anos atuando em tecnologia. Especialista em Cyber Security, Pós graduado em Datacenter, MBA em Informática Forense e Pós Graduando em Direito e Tecnologia.  

 

ATAQUE DE CANAL LATERAL - NEW HAMMERING

 

INTRODUCING HALF-DOUBLE: NEW HAMMERING TECHNIQUE FOR DRAM ROWHAMMER BUG

Por Thiago Alvarenga | JUN 2021

“A segurança da informação e a proteção de dados pessoais figuram no palco de muitas notícias nos últimos anos, principalmente por estar relacionada ao vazamento de dados pessoais, consoante a constante evolução das tecnologias que por alguma falha de projeto, gestão de política ou falta de conhecimento do usuário, condicionam o surgimento destas novas falhas que afetam o cotidiano das empresas e pessoas”. 

O presente artigo foi escrito tendo o cuidado de não deixar o texto muito técnico, visto que este tipo de vulnerabilidade é altamente técnica e complexa para algumas pessoas que não estão familiarizadas com a ciência da computação.

Objetivo do artigo: Conscientizar sobre os cuidados do uso da internet sem um filtro de conteúdo para controle de páginas que podem ser acessadas dentro de uma empresa. Exemplo: proteções de EndPoint via Secure Web Gateway. Saiba mais.”

Os ataques de canal lateral (SCAs) visam extrair segredos de um chip ou sistema por meio de erros de desing de frabricação, criptoanalise e bugs de softwares a nível de hardware. Dentro deste rol, o Row Hammer classifica-se como um Fault attacks. Row Hammer ou comumente conhecido como Rowhammer, é um exploit de segurança que tira proveito de um efeito colateral não desejado na memória dinâmica de acesso aleatório (DRAM) em que as células da memória interagem eletricamente entre si, vazando suas cargas. O resultado da evasão do isolamento entre as células da memória resulta em um acesso aleatório por padrões de acesso a memória.

Para melhor entendimento, vajamos esta imagem para ilustrar os métodos de acesso à memória:

Figura 1 - Ilustração dinâmica básica de funcionamento dos métidos de acesso à memória.

Os métodos de acesso aos dados podem ser distribuídos da seguinte forma: acesso direto, acesso aleatório e associativo. Entre estes, um destaca-se o acesso aleatório, ou melhor, descrevendo-o: Memória de acesso randômico, comumente conhecido como memória RAM (Principal) n° 2 da figura 1.  A sua principal característica é a volatilidade dos dados que ao desligar o computador as informações são apagadas. É nesta linha de frente que os invasores atuam, para dificultar cada vez mais que os antivírus os detectem (ofuscação de malware em memória) e em técnicas para dificultar uma perícia computacional, vez que a informação volátil neste nível dificilmente recuperada.  Veja mais.

Desta forma, é possível entender melhor a forma de atuação do o exploit Rowhammer, o seu modo de atuação é em nível de hardware, funciona induzindo uma mudança de bit produzindo instruções que não passariam pelo validador x86-64 do NaCI que por conseguinte resulta em uma escalação de privilégios a nível de kernel. 

Os ataques deste tipo iniciaram em 2014, na época os pesquisadores mostraram como eles podiam abusar da técnica (row hammering) manipulando os campos eletromagnéticos destes chips executando operações rápidas de leitura e gravação. A princípio o Rowhammer tinha como alvos os cartões de memória RAM DD3, contudo, já é possível aplicar a técnica em memórias RAM do tipo DDR4 e um detalhe, este novo método atinge mais células de memória do que a técnica de 2014, visto que a distância entre as linhas da memória se tornaram menores entre um chip e outro.

Usando o JavaScript, o ataque aconteceria da seguinte forma:

Uma falha em nível de hardware deste estado, ou seja, que é altamente difícil de ser corrigida, em muitos casos só podem ocorrer com a troca do próprio hardware após a correção em novos padrões de fabricação. Esta vulnerabilidade tem o poder de afetar milhões de usuários, o Rowhammer.js é independente do conjunto de instruções da CPU e trata-se de um ataque remoto de falha de hardware introduzindo via software com o uso do JavaScript que hoje é utilizado em larga escala por todas as versões recentes do Firefox, Google Chrome e outros. Este tipo de vulnerabilidade já foi comprovado e foi feita uma prova de conceito para atestar o seu grau de impacto.

Segundo Daniel Gruss da Universidade de Tecnologia da Austria, um ataque Rowhammer em JavaScript, é realizado as seguintes etapas:

1. Encontre 2 endereços em linhas diferentes

2. Expulsar e recarregar os 2 endereços em alta frequência

3. Procure um bit flip explorável

4. Explorar a inversão de bits (por exemplo, manipular tabelas de páginas, execução remota de código).

A abordagem deste método pode ser interpretada da seguinte forma: “a cadeia de exploração pode ser iniciada quando uma vítima visita um site mal-intencionado sob o controle do Hacker ou até um site legítimo que tenha um anúncio malicioso. Desta forma os bits de flips do Rowhammer são acionados de dentro da sandbox do JavaScript para obter o controle do navegador da vítima. O exploit se baseia especificamente em corromper os ponteiros no navegador para quebrar o ASLR e girar para o objeto falsificado. Em outras palavras, proteger a integridade de ponteiros em software ou hardware usando um PAC poderia parar o exploit SMASH atual”.

Em resumo, a conjectura fundamental na segurança de um software é que um local de memória só possa ser modificado por processos legítimos, que podem gravar neste local de memória, entretanto, os efeitos eletromagnéticos na DRAM podem alterar o conteúdo de uma célula da memória sem acessá-la ao leva-la para fora de seus limites ao condicioná-la a mudar o seu estado lógico eletromagnético de 0 para 1 causando um Soft Error na memória DRAM.

Por último, o acesso à memória fora dos limites resultará na corrupção da memória relevante e talvez nas instruções lavando-a ao travamento ou o invasor pode sobrescrever dados específicos de aplicativos críticos, um sinalizado que indica se o usuário é administrador, por exemplo. Recomenda-se como contramedida para este tipo de ataque, o uso de controle de conteúdo dentro de uma empresa, campanhas de treinamento de segurança da informação e uma boa política de uso da internet. 

 

Bibliografia:

https://pure.tugraz.at/ws/portalfiles/portal/17611517/rowhammerjs.pdf

https://wiki.sj.ifsc.edu.br/index.php/MI1022806_2020_1_AULA08

https://security.googleblog.com/2021/05/introducing-half-double-new-hammering.html?m=1

http://www.ic.uff.br/~boeres/slides_FAC/FAC-aula2.pdf

https://media.digikey.com/pdf/Data%20Sheets/Micron%20Technology%20Inc%20PDFs/MT16JTFxxx64AY.pdf

https://www.hardware.com.br/dicas/entendendo-cache.html

https://canaltech.com.br/produtos/O-que-e-FSB/

https://slideplayer.com.br/slide/353970/

https://www.psafe.com/blog/pesquisadores-identificam-vulnerabilidade-na-memoria-ram-ddr3/

https://pt.wikipedia.org/wiki/DDR3_SDRAM

http://www.univasf.edu.br/~romulo.camara/novo/wp-content/uploads/2013/07/Familias_Logicas1.pdf

https://www.securitee.org/files/bitsquatting_www2013.pdf

http://cwe.mitre.org/data/definitions/119.html

https://nvd.nist.gov/vuln/detail/CVE-2021-23017

https://www.cs.umd.edu/class/fall2018/cmsc818O/papers/rowhammer-kernel.pdf

https://www.exploit-db.com/exploits/36311

Instalando o Kali Linux e o Metasploit no subsistema do Windows

 

Por Thiago Alvarenga

Descrição:

Este artigo tem o intuito de auxiliá-lo na instalação do Kali Linux, nmap, netcat e metasploit. Estes procedimento foram realizados nesta versão do windows:

Versão: Windows 10 20H2 Compilação 19042.867.

Preparando o sistema operacional 

Obs.: Você precisa ter privilégios de administrador na máquina que será feita a instalação. 

Passo 0 - Ative serviço no Windows

Figura 1 - Ativação do Subsistema Linux no Windows

Passo 1 - Abra o powershell como administrador e execute o seguinte comando:

Enable-WindowsOptionalFeature -Online -FeatureName Microsoft-Windows-Subsystem-Linux

Figura 2 - Tela esperada após executar o comando

Neste ensaio, apenas seguindo estes passo foi possível alcançar os objetivos do artigo, contudo, talvez você precise ativar alguma outra função do Windows relacionado ao Subsistema: Veja aqui. 

Passo 2 - Baixe e instale através do menu iniciar Microsoft Store. 

Figura 3 - Baixando e Instalando o Kali

Após instalação, será necessário reinicializar o computador. Feito isto, passemos para o Passo3.

Passo 3 -  Abra novamente Microsoft Store. 

Figura 4 - Fixando a inicialização na barra de tarefas e no menu iniciar

Passo 4 - Até aqui, ao clicar no ícone da barra de tarefas do Kali Linux você encontrará esta tela: 

Figura 5 - Criação de Usuário e senha do Kali

Passo 5 - Instalando o Nmap.

Digite: apt-get install nmap

Figura 6 - Instalação do Nmap.

Obs.: Foi encontrado um problema com a instalação, conforme pode ser visto e corrigido criando um alias para um local no windows, ou seja, se aparecer o erro no indicador 1 da figura 7, instale no windows e indique o local de instalação no, veja o indicador 2 da figura 7. 

Digite o comando : alias nmap='"/mnt/c/Program Files (x86)/Nmap/nmap.exe"' 

Figura 7 - Resolvendo a instalação do Nmap.

Instalando o Netcat:

Figura 8 - Instalação do Netcat

Instalando o metasploit

Foi feita uma tentativa de forma padrão e nativa, porém sem sucesso, vejamos: 

Figura 9 - Tentativa de instalação do Metasploit

Agora, iremos fazer a instalação seguindo este comando:

Abra o prompt de comandos como administrador "elevado" e digite a seguinte linha:

 reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\AppModelUnlock" /t REG_DWORD /f /v "AllowDevelopmentWithoutDevLicense" /d "1"

Obs.: Talvez não precise adicionar esta linha. No ensaio realizado neste artigo todos os comandos foram usados. 

Para instalar o metasploit digite: 

curl https://raw.githubusercontent.com/rapid7/metasploit-omnibus/master/config/templates/metasploit-framework-wrappers/msfupdate.erb > msfinstall && chmod 755 msfinstall && ./msfinstall

Figura 10 - Instalação Metasploit

Figura 11 - Instalação finalizada, leva-se aproximadamente 5 minutos

Com estes passos, foi possível alcançar a instalação dos itens indicado na descrição. 

Fonte: 

https://qastack.com.br/ubuntu/966184/the-wsl-optional-component-is-not-enabled-please-enable-it-and-try-again

https://docs.microsoft.com/en-us/windows/wsl/install-win10

https://exploits.run/nmap-wsl/

https://gist.github.com/dafthack/8aa4ff60cd9352448a372ce1a7b2e27e

 

Alienvault ossim travado rabbitmq-server

Por Thiago Alvarenga 

DESCRIÇÃO

Neste processo será feita a recuperação da inicialização do Appliance Alien Vault um OSSIM destinado a análise de vulnerabilidades. Os procedimentos não são difíceis, basta carregar o Appliance em uma distribuição linux bootável de sua escolha como slave e deletar uma pasta específica do S.O. em questão. 

ERRO APRESENTADO

Figura 1 - Tela congelada apresentando a mensagem: rabbitmp-server

Na Figura 1 é possível observar que o Sistema Operacional fica congelado nesta mensagem e não passa deste ponto. Para solucionar este problema é necessário inicializar com uma distribuição Linux Bootável e tentar deletar os arquivos contidos neste caminho: /var/lib/rabbitmq/mnesia/alienvault@localhost/recovery.dets before  

Com esta simples ação já é possível restartar o S.O. e o Alien Voult estará disponível novamente. Desta forma concluímos esta etapa. 

Fonte: https://success.alienvault.com/s/question/0D53q00009ur2UUCAY/ossim-server-wont-boot-hangs-on-starting-rabbitmq-messaging-server-rabbitmqserver

Recuperando a senha do USM AlienVault OSSIM Appliance

 

Descrição

Neste processo será feita uma nova senha para o seu appliance. Situação: você perdeu a senha de root para seu dispositivo USM e precise ser redefinida, siga os procedimentos abaixo. Você precisa fazer isso dessa maneira porque o tempo limite do GRUB no Dispositivo USM está definido como 0.

Para hardware de dispositivo USM e máquinas virtuais

Nota: Você não precisa reinstalar ou redefinir o dispositivo. O objetivo de inicializar a partir do Mint Linux portable ISO ou via AlienVault. A intenção é apenas levantar o boot através de uma máquina secundária para você redefinir a senha de root.

1. Baixe o mais novo AlienVault OSSIM ISO que pode ser encontrado em  https://www.alienvault.com/products/ossim/download  ou o Mint Linux Bootável: Aqui.
2. Prepare a ISO para o aparelho que você irá redefinir. Por exemplo, se você estiver trabalhando em um dispositivo de hardware, converta o ISO em um USB inicializável (consulte  este documento para obter detalhes).
3. No dispositivo AlienVault que você precisa redefinir a senha root, inicialize a partir do USB que contém o AlienVault OSSIM ISO. Pode ser necessário pressionar Esc no teclado para acessar o BIOS a fim de alterar o menu de inicialização.
4. Selecione para instalar o AlienVault OSSIM <version_number>.
5. Selecione seu teclado e idioma.
6. Quando você chegar ao menu para configurar a rede, pressione Esc no teclado para abrir o menu principal do instalador Debian.

Com os passos acima, você estará em um terminal do linux carregado via usb ou cdrom. Para o Mint Linux, basta inicializar que ele já estará pronto para uso, ao abrir, basta clicar com o botão auxiliar dentro da unidade sda1 e selecionar abrir um novo terminal aqui neste passo você pode seguir a partir  do item 3 da lista abaixo. 

 

1. Selecione  Executar um Shell  e, em seguida, selecione  Continuar .
2. Monte as partições a partir do shell digitando  mount -t ext4 / dev / sda1 / mnt .
3. Digite  chroot / mnt .
4. Digite  passwd , que solicitará que você insira a nova senha duas vezes.
5. Digite  exit .
6. Digite  umount / mnt .
7. Digite  reboot  para reiniciar o sistema.

Assim que o sistema for reiniciado, sua senha root será alterada para aquela que você especificou na etapa 4, e você pode então fazer o login no dispositivo AlienVault usando a nova senha.

Fonte: https://success.alienvault.com/s/article/Recovering-Lost-Root-Password-on-AlienVault-Appliances